SSLによるSecureWWWサーバの構築

■Apache (httpd.conf, ssl.conf) の設定

$ tar zxfv httpd-2.0.46.tar.gz  $ cd httpd-2.0.46  $ export CPPFLAGS=-I/usr/kerberos/include  $ ./configure --enable-ssl --enable-dav  $ make  $ su  # make install

◆httpd.confの設定

◆ssl.confの設定

• バーチャルサーバの設定
  
  ドキュメントルートを、ユーザディレクトリに変更し、サーバ名と管理者のメールアドレスをhttpd.confと同じように変更。
  
  # General setup for the virtual host
  DocumentRoot "/usr/local/apache2/htdocs"
  ServerName new.host.name:443
  ServerAdmin you.@your.address
  
  　　　　　　　↓追加（コメントアウト）
  
  # General setup for the virtual host
  DocumentRoot "/home"
  ServerName www.aconus.com:443
  ServerAdmin oyaji@mail.aconus.com
  
  
• 証明書の指定
  
  　こちらで作成するサーバ用デジタル証明書を指定します。
  
  SSLCertificateFile /usr/local/apache2/conf/ssl.crt/server.crt
  
  　　　　　　　↓変更
  
  SSLCertificateFile /usr/local/certs/server.crt
  
  
• 秘密鍵の指定（同上）
  
  SSLCertificateKeyFile /usr/local/apache2/conf/ssl.key/server.key
  
  　　　　　　　↓変更
  
  SSLCertificateKeyFile /usr/local/certs/server.key

■クライアント認証関係の設定

◆ssl.conf の設定

  上記設定に、下記を追加設定します。特定ディレクトリだけを対象にするなら、下記の2項目の SSLVerifyClient/SSLVerifyDepth をディレクトリディレクティブ内に記述すればよい。

• CA証明書へのパスとファイル名の設定を行う
  
  #SSLCACertificatePath /usr/local/apache2/conf/ssl.crt
  #SSLCACertificateFile /usr/local/apache2/conf/ssl.crt/ca-bundle-client.crt
  
  　　　　　　　↓追加
  
  #SSLCACertificatePath /usr/local/apache2/conf/ssl.crt
  #SSLCACertificateFile /usr/local/apache2/conf/ssl.crt/ca-bundle-client.crt
  SSLCACertificatePath /usr/local/certs/demoCA
  SSLCACertificateFile /usr/local/certs/demoCA/cacert.pem
  
  
• クライント認証の指定とルート認証局までの階層設定
  
  CA によって直接署名された証明書だけを信用するので、SSLVerifyDepth は 1 に設定する。
  
  #SSLVerifyClient require
  #SSLVerifyDepth 10
  
  　　　　　　　↓追加
  
  #SSLVerifyClient require
  #SSLVerifyDepth 10
  SSLVerifyClient require
  SSLVerifyDepth 1

■logrotateの設定

1.  /var/log/httpd/access_log /var/log/httpd/agent_log /var/log/httpd/error_log /var/log/httpd/referer_log { 2.  missingok 3.  sharedscripts 4.  postrotate 5.  /bin/kill -HUP `cat /var/run/httpd.pid 2>/dev/null` 2> /dev/null || true 6.  endscript 7.  }               ↓削除、追加 1.  /usr/local/apache2/logs/*_log { 2.  missingok 3.  sharedscripts 4.  postrotate 5.  /bin/kill -HUP `cat /usr/local/apache2/logs/httpd.pid 2>/dev/null` 2> /dev/null || true 6.  endscript 7.  }

1行目： logrotateしたいlogファイル名を*_logでワイルドカード指定。
2行目： ログファイルが無くとも、処理を正常終了させる。
3行目： 1行目で複数指定されたlogファイルに対し、postrotate以降設定されたコマンドを実行する。
4行目： このコマンドの後に、logファイルのローテーション後に実行するコマンドを記述する。
5行目： logファイルのローテーション後、apacheサーバにハングアップシグナル(HUP)を送り、再起動
           させるためのもの。これにより、apacheが新たなlogファイルにログを出力するようになる。
6行目： postrotateの終端を示す。  

■ルータの設定

■Apacheの起動設定

#!/bin/sh # # Startup script for the Apache Web Server # # chkconfig: - 85 15 # description: Apache is a World Wide Web server. It is used to serve \ # HTML files and CGI. # processname: httpd # pidfile: /usr/local/apache2/logs/httpd.pid # config: /usr/local/apache2/conf/httpd.conf # Source function library. . /etc/rc.d/init.d/functions if [ -f /etc/sysconfig/httpd ]; then         . /etc/sysconfig/httpd fi # This will prevent initlog from swallowing up a pass-phrase prompt if # mod_ssl needs a pass-phrase from the user. INITLOG_ARGS="" # Path to the apachectl script, server binary, and short-form for messages. apachectl=/usr/local/apache2/bin/apachectl httpd=/usr/local/apache2/bin/httpd prog=httpd RETVAL=0 # check for 1.3 configuration check13 () {         CONFFILE=/etc/httpd/conf/httpd.conf         GONE="(ServerType|BindAddress|Port|AddModule|ClearModuleList|"         GONE="${GONE}AgentLog|RefererLog|RefererIgnore|FancyIndexing|"         GONE="${GONE}AccessConfig|ResourceConfig)"         if grep -Eiq "^[[:space:]]*($GONE)" $CONFFILE; then                 echo                 echo 1>&2 " Apache 1.3 configuration directives found"                 echo 1>&2 " please read /usr/share/doc/httpd-2.0.40/migration.html"                 failure "Apache 1.3 config directives test"                 echo                 exit 1         fi } # The semantics of these two functions differ from the way apachectl does # things -- attempting to start while running is a failure, and shutdown # when not running is also a failure. So we just do it the way init scripts # are expected to behave here. start() {         echo -n $"Starting $prog: "         check13 || exit 1         daemon $httpd -D SSL $OPTIONS         RETVAL=$?         echo         [ $RETVAL = 0 ] && touch /usr/local/apache2/logs/accept.lock         return $RETVAL } stop() {         echo -n $"Stopping $prog: "         killproc $httpd         RETVAL=$?         echo         [ $RETVAL = 0 ] && rm -f /usr/local/apache2/logs/accept.lock /usr/local/apache2/logs/httpd.pid } reload() {         echo -n $"Reloading $prog: "         check13 || exit 1         killproc $httpd -HUP         RETVAL=$?         echo } # See how we were called. case "$1" in   start)         start         ;;   stop)         stop         ;;   status)         status $httpd         RETVAL=$?         ;;   restart)         stop         start         ;;   condrestart)         if [ -f /usr/local/apache2/logs/httpd.pid ] ; then                 stop                 start         fi         ;;   reload)         reload         ;;   graceful|help|configtest|fullstatus)         $apachectl $@         RETVAL=$?         ;;   *)         echo $"Usage: $prog {start|stop|restart|condrestart|reload|status|fullstatus|graceful|help|configtest}"         exit 1 esac exit $RETVAL

# cd /etc/rc.d/init.d/  # chmod 755 httpd2  # /sbin/chkconfig --add httpd2  # /sbin/chkconfig --list httpd2  httpd　　　 0:オフ　1:オフ　2:オフ　3:オン　4:オン　5:オン　6:オフ

Top Pageへ　　　サーバの構築へ戻る